🇰🇷 한글 설명
Juniper Networks Session Smart Router 및 Session Smart Conductor의 AccessManager에서 특수 요소 무력화가 부적절하게 이루어져 OS 명령어 인젝션 취약점이 존재합니다. 설정 쓰기 권한을 가진 공격자는 YANG 설정을 통해 root 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
설정을 변경할 수 있는 권한을 가진 사용자가 장비의 최고 관리자 권한으로 임의의 명령을 실행할 수 있는 결함입니다. 공격에 성공하면 장비 전체를 장악당할 수 있습니다.
🇺🇸 원문 (English)
An Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability in AccessManager in Juniper Networks Session Smart Router and Session Smart Conductor allows an attacker with config-write privileges to achieve arbitrary command execution as root in the YANG configuration.
📍 영향받는 시스템
Juniper Session Smart Router 및 Session Smart Conductor (영향 버전은 Juniper 보안 권고문 확인 필요)
⚔️ 공격 벡터
설정 쓰기 권한을 보유한 인증된 공격자가 YANG 설정 입력값에 OS 명령어를 삽입하여 root 권한으로 실행
🛡️ 대응 방법
Juniper가 제공하는 수정 버전으로 즉시 업그레이드하고, 설정 쓰기 권한을 최소한의 관리자에게만 부여
🔧 검증 코드
출력된 버전을 Juniper 보안 권고문(JSA)의 영향 버전 및 수정 버전과 비교하여 수정 버전 이상이면 조치 완료, 미만이면 업그레이드 필요
show version | match "Junos|Session Smart"
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Juniper Session Smart Conductor
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Juniper Networks 제품 보안 업데이트 권고
P4
📅 2026-10-29 · sec_notice
Juniper Networks가 Session Smart Router 및 Session Smart Conductor 제품의 Link Following, OS 명령 주입, 경로 탐색, 버퍼 오버플로우, 정수 오버플로우/언더플로우 등 다수 취약점을 수정한 보안 업데이트를 발표했습니다. 7.0.5, 7.1.7, 7.2.3 미만 버전을 사용하는 경우 영향을 받으므로 해당 수정 버전 이상으로 즉시 업데이트할 것을 권장합니다.